Política de Privacidade da Lavô

Esta política explica como a Lavô trata dados pessoais, com base na Lei Geral de Proteção de Dados (Lei nº 13.709/2018, LGPD). Ela foi escrita para ser lida por inteiro em poucos minutos. Se algo não ficar claro, fale com o nosso encarregado (seção 13).

1. Quem somos

1.1. Lavô Tech LTDA, CNPJ 53.821.038/0001-91, com sede em Q QMS 16 LOTE 08 AP 5, Sobradinho, Brasília-DF, e-mail dsgsensei@gmail.com, site https://lavo.app.br ("Lavô").

1.2. A Lavô fornece uma plataforma de gestão para lava jatos: o site de cada lava jato, o agendamento online, o leva e traz, a área do cliente e o painel de gestão.

2. Dois papéis diferentes: quando a Lavô decide e quando só executa

2.1. A Lavô é controladora (decide como e por que os dados são tratados) destes dados:

• a conta de login da plataforma, que é única: com um só cadastro, a pessoa entra em todos os sites de lava jato que usam a Lavô;
• os dados dos donos de lava jato que contratam a Lavô e das pessoas que falam com a Lavô para conhecer o serviço;
• os dados da equipe dos lava jatos apenas no que se refere à conta de login e à segurança de acesso (verificação em duas etapas, aparelhos confiáveis);
• os dados de quem visita o site da Lavô (https://lavo.app.br);
• os registros de acesso à plataforma (data, hora e IP), que a lei manda guardar.

2.2. A Lavô é operadora (trata os dados por conta e conforme as instruções de outro) dos dados que cada lava jato controla: o cadastro do cliente naquele lava jato, os carros, os agendamentos e atendimentos, os endereços do leva e traz, as observações, as avaliações, as preferências de promoções e os dados da equipe (função, comissões, escalas). Nesses casos, quem decide é o lava jato, que tem a sua própria política de privacidade publicada no site dele. A Lavô segue o contrato com o lava jato (Acordo de Tratamento de Dados) e não usa esses dados para fins próprios, não os vende e não os usa para publicidade.

2.3. Se você é cliente de um lava jato e quer exercer direitos sobre o histórico de atendimentos, carros ou promoções, o canal principal é o próprio lava jato. Se nos procurar, encaminharemos o pedido ao lava jato em até 2 dias úteis e avisaremos você. Pedidos sobre a conta de login são respondidos diretamente pela Lavô.

3. A conta única e o que acontece quando você a exclui

3.1. A conta de login guarda nome, e-mail, senha (cifrada de forma irreversível) ou o vínculo com o login do Google, telefone/WhatsApp e os endereços salvos (casa, trabalho etc.).

3.2. Quando você usa a mesma conta em um novo lava jato, mostramos antes um aviso de que o seu nome, e-mail e telefone serão compartilhados com aquele lava jato, que passa a ser controlador dos dados do atendimento. Você aceita os Termos e a Política de Privacidade daquele lava jato antes de continuar.

3.3. Fichas criadas pelo balcão de um lava jato com o mesmo e-mail da sua conta são ligadas a ela para que você veja o seu histórico naquele lava jato. Um lava jato não vê os atendimentos que você fez em outro.

3.4. Excluir a conta Lavô (em "Meus dados", em qualquer site que use a Lavô) apaga a conta de login e os endereços salvos e desfaz o vínculo com todos os lava jatos. Nos lava jatos, os endereços do leva e traz e as observações dos atendimentos são apagados e o restante do histórico é desvinculado de você, salvo o que cada lava jato precisar guardar por obrigação legal ou para se defender em processo, o que ele informa na política dele. A exclusão não pode ser desfeita.

3.5. Você também pode baixar os seus dados ("Meus dados" → baixar) a qualquer momento.

4. Que dados tratamos como controladora, para quê e com que base legal

As bases legais estão no art. 7º da LGPD.

4.1. Conta de login (nome, e-mail, senha cifrada ou login Google, telefone, endereços salvos, aceites de documentos): para criar e manter a conta e permitir o uso nos lava jatos escolhidos por você. Base: execução de contrato (art. 7º, V).

4.2. Segurança da conta (fatores de verificação em duas etapas, como passkey e aplicativo autenticador; aparelhos confiáveis; tentativas de login; registro do botão "ver completo"): para proteger as contas e os dados dos clientes contra acesso indevido. Base: legítimo interesse (art. 7º, IX) e cumprimento do dever de segurança (art. 46). A passkey é verificada no seu aparelho; a Lavô não recebe a sua digital nem a imagem do seu rosto.

4.3. Donos de lava jato e interessados (nome, razão social, CPF ou CNPJ, e-mail, telefone, cidade, bairro e UF, plano contratado, cobranças e pagamentos, origem do contato, como indicação ou campanha): para negociar, contratar, cobrar, emitir nota fiscal e dar suporte. Bases: execução de contrato e procedimentos preliminares (art. 7º, V), obrigação legal e fiscal (art. 7º, II) e exercício regular de direitos em cobranças e processos (art. 7º, VI).

4.4. Comunicações comerciais da Lavô aos donos (novidades e ofertas): base em legítimo interesse para clientes atuais, sempre com opção de sair em cada mensagem, e consentimento (art. 7º, I) para quem ainda não é cliente.

4.5. Registros de acesso (data, hora, fuso, IP e porta de origem, navegador): para cumprir o Marco Civil da Internet e para segurança. Base: obrigação legal (art. 7º, II; Lei nº 12.965/2014, art. 15).

4.6. Aceites de documentos (versão, data, hora, IP, navegador e código de verificação do texto): para provar o que foi aceito. Base: exercício regular de direitos (art. 7º, VI).

4.7. Atendimento e suporte (o conteúdo das conversas por e-mail e WhatsApp com a Lavô): para responder. Base: execução de contrato ou legítimo interesse.

4.8. Estatísticas agregadas (número de agendamentos, clientes e acessos por lava jato, sem identificar pessoas): para operar, cobrar e melhorar a plataforma. Base: legítimo interesse.

4.9. Não tratamos dados sensíveis para finalidade própria e não fazemos perfil de consumo das pessoas a partir dos atendimentos nos lava jatos.

5. Com quem compartilhamos

5.1. Com os lava jatos que você escolhe usar (seção 3.2).

5.2. Com os fornecedores que fazem a plataforma funcionar, que só podem usar os dados para nos prestar o serviço:

• Supabase: banco de dados, login e arquivos;
• Vercel: hospedagem do site e do aplicativo;
• Resend: envio de e-mails (confirmação, lembretes, avisos);
• OpenRouteService (HeiGIT, Alemanha): cálculo de rota e distância do leva e traz, que recebe o endereço ou as coordenadas;
• Google: login com conta Google, só para quem escolhe essa opção;
• Cloudflare (R2): armazenamento de imagens, como logotipos e fotos;
• quando a cobrança por cartão ou boleto for ligada, a instituição de pagamento escolhida, que será informada aqui antes de começar.

5.3. Com contador, assessoria jurídica e, quando necessário, com cartórios e cadastros de inadimplentes, só para dados de donos de lava jato e nas hipóteses dos Termos.

5.4. Com autoridades, quando houver ordem judicial ou requisição legal.

5.5. A Lavô não vende dados pessoais.

6. Transferência internacional

6.1. Alguns fornecedores guardam ou processam dados fora do Brasil, principalmente nos Estados Unidos (Supabase, Vercel, Resend, Google e Cloudflare, conforme a região de cada serviço) e na Alemanha (OpenRouteService).

6.2. Essas transferências seguem o art. 33 da LGPD e a Resolução CD/ANPD nº 19/2024, com base nas cláusulas-padrão contratuais aprovadas pela ANPD ou em outro mecanismo previsto no art. 33. Você pode pedir ao encarregado mais informações sobre cada transferência.

7. Por quanto tempo guardamos

7.1. Conta de login: enquanto existir. Excluída, é apagada em até 30 dias, inclusive das cópias de segurança no ciclo normal delas.

7.2. Registros de acesso: 6 meses (Marco Civil, art. 15), ou mais, só se houver pedido de autoridade.

7.3. Registro do botão "ver completo": 6 meses.

7.4. Dados do dono do lava jato e das cobranças: durante o contrato e por 5 anos depois, por obrigação fiscal e para exercício de direitos.

7.5. Aceites de documentos: durante a relação e por 5 anos depois.

7.6. Registro de incidentes de segurança: 5 anos (Resolução CD/ANPD nº 15/2024).

7.7. Dados que tratamos como operadora, pelas regras do lava jato e do contrato com ele: o endereço usado num atendimento de leva e traz é apagado 15 dias depois da entrega (ficam só a distância, a taxa e o bairro); depois que um lava jato sai da Lavô, os dados dele ficam 30 dias disponíveis para exportação e são eliminados em até 90 dias.

7.8. Terminado o prazo, os dados são eliminados ou anonimizados.

8. Segurança

8.1. As principais medidas são:

• cofre de dados: placa, telefone/WhatsApp, e-mail e endereço dos clientes são gravados cifrados (AES-256-GCM), com a chave guardada fora do banco de dados. Quem copiasse o banco veria texto ilegível;
• busca protegida: a busca por placa e telefone usa um índice cego (HMAC), sem expor o valor;
• dados mascarados nas telas: listas e buscas mostram esses dados parcialmente; o valor inteiro só aparece no botão "ver completo", que exige verificação em duas etapas recente, tem limite por minuto e fica registrado (quem, quando, qual cliente, qual campo e IP);
• verificação em duas etapas obrigatória para donos e equipes;
• acesso mínimo no leva e traz: só quem assume a busca ou a entrega vê o endereço completo;
• isolamento entre lava jatos no banco de dados: um lava jato não acessa dados de outro;
• conexão cifrada (HTTPS) e cópias de segurança.

8.2. O e-mail da conta de login fica também em texto aberto no serviço de login do fornecedor de banco de dados, protegido pelos controles desse fornecedor.

8.3. Nenhum sistema é totalmente imune a falhas. Por isso mantemos um plano de resposta a incidentes.

9. Incidentes de segurança

9.1. Se houver um incidente que possa trazer risco ou dano relevante às pessoas, a Lavô, quando for a controladora, comunica a ANPD e as pessoas afetadas em até 3 dias úteis depois de saber que o incidente atingiu dados pessoais, como determina a Resolução CD/ANPD nº 15/2024, dizendo o que aconteceu, quais dados, os riscos e o que estamos fazendo.

9.2. Quando os dados forem de um lava jato (Lavô como operadora), avisamos o lava jato em até 24 horas depois de confirmar o incidente, para que ele faça as comunicações dentro do prazo, e o ajudamos com as informações necessárias.

9.3. Registramos todos os incidentes, mesmo os que não precisam ser comunicados, e guardamos esse registro por 5 anos.

10. Seus direitos

10.1. Pelo art. 18 da LGPD, você pode pedir: confirmação de que tratamos seus dados; acesso; correção; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade; eliminação dos dados tratados com consentimento; informação sobre com quem compartilhamos; informação sobre a possibilidade de não consentir e suas consequências; e revogação do consentimento. Você também pode se opor a um tratamento baseado em legítimo interesse se achar que ele não respeita a lei.

10.2. Boa parte disso você faz sozinho, em "Meus dados": corrigir, baixar e excluir a conta. Para o resto, escreva ao encarregado (seção 13).

10.3. Respondemos na hora a confirmação simples e, no máximo, em até 15 dias a resposta completa, contados do pedido (art. 19 da LGPD). Podemos pedir uma confirmação de identidade para proteger você.

10.4. Você também pode reclamar à ANPD em gov.br/anpd.

11. Cookies

11.1. Hoje, a Lavô usa apenas cookies essenciais, sem os quais o site não funciona: o cookie de sessão do login, o do idioma, o que guarda a sua escolha sobre cookies e o que marca um aparelho como confiável para a verificação em duas etapas.

11.2. Não usamos cookies de medição de audiência nem de publicidade. Se passarmos a usar, eles só serão ativados com o seu consentimento, com botões de aceitar e recusar de mesmo destaque, e esta política será atualizada antes, com o nome, a finalidade e a duração de cada um.

12. Crianças e adolescentes

12.1. A plataforma é feita para adultos que cuidam de carros e para empresas. Ela não é direcionada a crianças e adolescentes, e o cadastro pede declaração de 18 anos ou mais (ou a participação de um responsável legal).

12.2. Se soubermos que tratamos dados de criança sem o consentimento de um dos pais ou responsável (art. 14 da LGPD), apagaremos esses dados. Os pais podem pedir a remoção ao encarregado. Acompanhamos as regras do Estatuto Digital da Criança e do Adolescente (Lei nº 15.211/2025), em vigor desde 17 de março de 2026, na medida em que se apliquem a este tipo de serviço.

13. Encarregado pelo tratamento de dados

13.1. Encarregado: João Pedro Duarte, e-mail dsgsensei@gmail.com. É por esse canal que você exerce seus direitos e tira dúvidas sobre esta política (Resolução CD/ANPD nº 18/2024).

14. Decisões automatizadas

14.1. A Lavô não toma decisões só com base em tratamento automatizado que afetem os seus interesses (art. 20 da LGPD). O cálculo da taxa de leva e traz pela distância é uma estimativa feita para o lava jato, que define e confirma o preço.

15. Alterações desta política

15.1. Quando mudarmos esta política de forma relevante, avisaremos com pelo menos 30 dias de antecedência, por e-mail e na plataforma. As versões anteriores ficam no histórico público em https://lavo.app.br.